学校网络安全测评记录

下午两点，学校市三中的网络机房里，我盯着测评终端上跳动的安全红色告警，后背有点发凉。测评这个号称“智慧校园示范校”的记录学校，核心交换机的学校管理密码竟然是admin，而且三个月没改过。网络旁边的安全信息中心主任还一脸茫然：“我们不是装了防火墙吗？”

测评刚进行到一半，我就发现更蹊跷的测评事。学生选课系统的记录数据库居然能通过公网直接访问，端口3306大敞着。学校我随手试了试默认口令，网络结果真进去了。安全里面躺着全校三千多学生的测评身份证号、家庭住址，记录甚至还有家长的联系方式。那一刻我忽然明白，这哪里是网络安全测评，分明是在拆一颗定时炸弹。

其实这种状况不算罕见。我做过二十多所学校的测评，发现一个规律——越是强调“信息化建设”的学校，漏洞往往越多。领导们舍得花几百万买智慧黑板、建录播教室，却舍不得花几千块请人做一次渗透测试。机房角落里那台孤零零的堡垒机，指示灯都不亮了，估计买来就没正经用过。

下午三点半，初中部的网络管理员老张来找我聊天。他干这行八年了，手里攥着全校三百多台设备的账号密码，全记在一个Excel表格里，就放在共享文件夹中。我提醒他这样不安全，他苦笑着摇头：“领导要检查，我拿什么证明自己干活了？总不能打印出来贴墙上吧。”

测评到第四个小时，最魔幻的一幕出现了。学校官网的服务器上，竟然挂着一个挖矿程序。我顺着日志追查，发现入侵者是通过教师办公电脑的远程桌面漏洞进来的。而那台电脑的主人——教物理的李老师，三个月前收到过一封钓鱼邮件，附件名称是“期末试题.exe”。她当时还跟同事炫耀：“现在的骗子真逗，连我们学科组都知道。”

傍晚六点，我出具了初步测评报告。风险项一共四十七条，其中高危十九条。信息中心主任拿着报告的手有点抖，嘴里反复念叨：“这要是被教育局知道了，今年的绩效考核肯定黄了。”我没接话，心里却清楚——比起绩效，那些躺在数据库里的孩子信息，才是真正输不起的东西。

临走前，我帮他们改了所有默认密码，又给防火墙开了几道该开的策略。老张送我下楼时突然问：“你说我们这情况，是不是特别普遍？”我看着他眼角的皱纹，没忍心告诉他——就今天这个下午，我已经接到三所学校的求助电话，问题一个比一个棘手。

测评车驶出校门时，路灯刚亮。我回头看了眼那栋气派的综合楼，玻璃幕墙在暮色里闪着光。里面装着最先进的录播系统，最贵的交互大屏，还有最脆弱的网络防线。这大概就是当下学校网络安全最真实的写照——面子光鲜，里子漏风。